Az információbiztonság területén az egyik legmeghatározóbb élményem néhány évvel ezelőtt történt, amikor IT fejlesztési projektvezetőként, az egyik, akkor már átadott és élesített rendszerünk elérhetetlensége miatt csörgött a telefonom, egy napsütéses szombat reggelen. Mivel az üzemeltetést nem mi végeztük, ezért – amikor a főnököm tájékoztatott arról, hogy azonnal lássak munkához a probléma megoldása érdekében – első lépésként csak annyit láttam a telefonomon, hogy valóban elérhetetlen az oldal. Elsőre persze DDoS-ra gondoltam. Amíg a kapcsolatot felvettem az üzemeltetést végző kollégákkal sikerült információt szereznem az aktuális látogatók analitikájáról, mert jó lakmuszpapírnak gondoltam. Valóban, egyszerre több tízezer felhasználó látogatta, az addig általában csak napi néhány száz érdeklődőt fogadó weboldalt. Csakhogy a felhasználók nem külföldről érkeztek: valójában az összes magyar hírportálról, egyszerre özönlöttek a látogatók.
A leggyengébb láncszem
Szinte nincs olyan információbiztonsági előadás, amelyben ne hangozna el az a mondat, hogy az információbiztonság területén a legnagyobb kockázatot az emberek, egy szervezet esetében a munkatársak jelentik. A támadók rendkívül gyakran élnek az emberi tényező kihasználásával (social engineering), még akkor is, ha ez csak segítséget nyújt, az egyébként technológiai támadáshoz. Mégis, a szervezetek gyakran nem fordítanak figyelmet a HR folyamatokban a jelölt információbiztonsági kockázataira, sem a kiválasztáskor, de gyakran még az onboarding folyamat során sem.
Nincs új a nap alatt?
Az élet számos területén lehet az az érzése az embernek, hogy bizonyos területeket a generációk újra és újra felfedeznek, adott esetben pedig hasonló módon szabályoznak. Szerintem – bizonyos szempontból – ilyen területnek tekinthető az információbiztonság, illetve az informatikai biztonság területe is. Egy, korábban titkos minősítésű BM intézkedés legalábbis ezt jelzi számomra.